NIS2 als Chance Mehr Cybersicherheit in der Produktion durch NIS-2

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Die NIS2-Richtlinie stellt produzierende Unternehmen vor enorme Herausforderungen – doch sie birgt zugleich die Chance, durch Mindest­standards für IT-Sicherheit regulatorische Risiken zu minimieren, die Resilienz gegenüber Cyber-Bedrohungen zu steigern und wettbewerbs­fähiger zu werden.

Die Sicherheit der Cyber-Infrastruktur zu gewährleisten, stellt produzierende Unternehmen aktuell vor nie dagewesene Herausforderungen. Aufgrund der derzeitigen Cyber-Kriegsführung in Kombination mit der zunehmenden Digitalisierung und Vernetzung in der Produktion ist eine ernstzunehmende Bedrohungslage entstanden. Sie zwingt beim Umgang mit Cyber-Risiken zum Umdenken. Die EU hat 2023 die seit 2016 bestehenden Sicherheitsvorschriften der „Network and Information Security“-Richtline, kurz NIS, durch die NIS-2-Richtlinie erweitert. In Deutschland gibt es dazu einen Gesetzesentwurf, der voraussichtlich März 2025 in Kraft tritt: das sogenannte NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS-2UmsuCG.

Je nach Sektor unterscheiden sich die Herausforderungen, die mit der Umsetzung einhergehen. So fallen beispielsweise Unternehmen im Bereich Energie und Elektrizität bereits unter NIS sowie KRITIS und können auf bestehenden Prozessen aufbauen. Anders sieht es für das verarbeitende Gewerbe aus. Diese Unternehmen sind nicht KRITIS-relevant und fallen nicht unter die bisherige NIS-Richtlinie. Daher haben sie häufig keine den offiziellen Vorgaben entsprechenden Sicherheitsmaßnahmen implementiert. Die Anforderungen durch die verschärfte NIS-2-Richtlinie sind für sie besonders groß. Die Verpflichtung zur Umsetzung der Vorgaben kann in dieser Situation jedoch eine echte Chance sein. Denn im Rahmen des Prozesses müssen klare Mindeststandards für Cyber-Sicherheit in die Unternehmen eingezogen werden. Produzierende Unternehmen, die diese Schritte proaktiv verfolgen, werden nicht nur regulatorische Risiken reduzieren. Sie werden auch ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen und damit ihre Wettbewerbsfähigkeit erheblich stärken.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Vorbereitende Schritte

Am Anfang steht eine Betroffenheitsanalyse, die zeigt, ob das eigene Unternehmen in den Anwendungsbereich von NIS-2 fällt. Eine erste Orientierung bietet die anonyme und kostenfreie Prüfung auf der Seite des BSI. Die NIS-2-Betroffenheitsprüfung dient als automatische Orientierungshilfe auf Grundlage von Eigenangaben, deren Ergebnis nicht rechtlich bindend ist. Zurzeit basieren die Abfragen auf der NIS-2-Richtlinie der EU. Bestätigen die Rechtsabteilung des eigenen Unternehmens, interne oder externe Experten das Ergebnis, ergibt sich damit die Pflicht zur Registrierung.

Unterschiedliche nationale NIS-2 Umsetzungen bedeuten für international tätige Unternehmen eine hohe Komplexität bei der Implementierung. Denn sie fallen potenziell in verschiedene nationale Vorgaben innerhalb der EU-Länder. Die aktuellen Gesetze und Entwürfe der jeweiligen Länder zeigen hier deutliche Abweichungen. Idealerweise wird die Koordination und Nachverfolgung der Implementierung in den einzelnen europäischen Gesellschaften von Anfang an durch die Muttergesellschaft durchgeführt und die zentralen und dezentralen Verantwortlichkeiten hierbei fest definiert.

Cybersecurity im Fokus

Countdown zur NIS2-Umsetzung

NIS-2-Vorgaben praktisch umsetzen

Sind diese Fragen geklärt, werden die Vorbereitungen dafür getroffen, Compliance mit den inhaltlichen Anforderungen der Richtlinie herzustellen. Für das verarbeitende Gewerbe wird die Implementierung der Prozesse an sich und der grundsätzliche Umgang mit einer breiten Cyber-Regulatorik eine umfassende Aufgabe darstellen. Daher ist ein mehrstufiges Vorgehen ratsam.

NIS-2 betont die Verantwortung des Managements, was zu neuen Haftungen führen kann. Produzierende Unternehmen sollten also zunächst die Verantwortlichkeiten innerhalb ihrer Organisation klar zuweisen. Das Top-Management muss involviert und über Risiken und Fortschritte informiert sein. Zudem besteht eine Schulungspflicht für Geschäftsleitungen, wobei idealerweise mit der Vorstandsebene begonnen wird. Darüber hinaus muss geklärt werden, wie Unternehmen mit der Verantwortung für organisationsweite Themen umgehen, etwa dem Management von Risiken Dritter. Hilfreich ist eine zentrale Struktur, die die dezentralen Verantwortlichen unterstützt, ohne deren Verantwortlichkeiten zu übernehmen.

Verantwortliche können nur dann Ressourcen gezielt einsetzen und angemessene Maßnahmen ergreifen, wenn sie die Auswirkungen von Sicherheitsmaßnahmen und Vorfällen auf die Organisation verstehen. Hierbei gilt das Proportionalitätsprinzip: Maßnahmen sollten immer in einem angemessenen Verhältnis zu den Risiken stehen. Am Anfang steht die Risikoidentifikation, um potenzielle Bedrohungen und Schwachstellen zu erkennen. Die identifizierten Risiken müssen hinsichtlich ihrer Wahrscheinlichkeit und Auswirkungen bewertet werden. Anschließend werden regelmäßige Risikoanalysen durchgeführt, um stets ein aktuelles Bild der Bedrohungslage zu haben. Basierend auf der Risikobewertung werden schließlich Maßnahmen zur Risikominderung festgelegt. Unternehmen können auf standardisierte Sicherheitsmaßnahmen zurückgreifen, die sich in ihrer Branche bewährt haben, und diese proportional zur Risikobewertung anpassen.

Digitale Infrastruktur im Rahmen der NIS2 stärken

Mehr Security-Verantwortung für die Chefetage

Bei der Umsetzungsplanung kann, wo immer möglich auf vorhandene und etablierte Prozesse zurückgegriffen werden, anstatt diese grundlegend neu zu definieren. Ein Beispiel ist die Meldepflicht: Produzierende Unternehmen haben die Anforderungen der Datenschutz-Grundverordnung (DSGVO) umgesetzt. Daher verfügen sie in der Regel bereits über bewährte Prozesse für die Meldung von Datenschutzverletzungen. Diese bereits etablierten Strukturen und Vorgehensweisen können als solide Grundlage für die Erfüllung der Meldepflicht im Rahmen der NIS-2 Richtlinie dienen.

Betroffene Unternehmen müssen die Umsetzung der Maßnahmen dokumentieren und nachweisen können. Für die Sorgfaltspflicht beginnt die Nachweisbarkeit gleichzeitig mit der Umsetzung der Maßnahmen. Sie sollte bereits während der Umsetzung integriert und standardisiert werden.

Fazit

Die strengen Regulierungen der NIS2 sind für die meisten produzierenden Unternehmen in Deutschland neu und viele Anforderungen werden möglicherweise noch nicht vollständig erfüllt. Dennoch ist es wichtig, NIS2 mit der notwendigen Sorgfalt und Ernsthaftigkeit zu behandeln. Dabei sind der Aufbau auf bestehenden Prozessen sowie die Sicherstellung der Nachweisbarkeit von Maßnahmen zentrale Erfolgsfaktoren.

Die Autoren

Nils Kohrt ist Cybersecurity-Berater bei Eraneos mit Schwerpunkt auf IT-Regulatorik und Compliance. Er unterstützt Unternehmen dabei, regulatorische Anforderungen und Sicherheitsstandards effizient umzusetzen und Risiken in der Informationssicherheit nachhaltig zu minimieren. Er hält außerdem die Zertifizierung als Certified Information Security Manager (CISM).

June Snyder-Kamen ist Cybersecurity-Beraterin bei Eraneos im Bereich IT-Regulatorik und Compliance. Darüber hinaus verfügt sie über weitreichende Erfahrung in der Prüfung von ERP-Systemen, vor allem SAP. Zu Ihren aktuellen Schwerpunktthemen zählt der Umgang mit EU-Rechtsakten wie DORA, NIS-2 oder dem Cyber Resilience Act.

(ID:50287634)